JP4440168B2 - 画像形成システム - Google Patents

Description

本発明は、画像形成システム、画像形成装置及び記憶装置並びに通信制御方法及びプログラムに関するものである。

近年、画像形成装置として、ＨＤＤ（ハードディスクドライブ）等の記憶装置と接続され、記憶装置から読出した情報を用いて画像形成を行なうものが提案されている。記憶装置は、例えば、外部から受け付けたジョブデータを一時的に保存し、必要に応じて取り出せるようなエリアとして利用されている。この記憶装置の記憶エリアを有効に利用して処理の効率化を図り、ジョブの優先度の変更を行なう場合もある。更には、記憶装置内に、ある特定の個人、またはグループのみ読み書き可能な特別な記憶エリアを設けて、そのエリアにセキュリティをかけて秘匿性のある文書（ジョブデータ）の保存を行う場合もある。加えて、記憶装置には、各種設定情報（Ｃｏｎｆｉｇｕｒａｔｉｏｎ情報，ＦＡＸ用アドレス帳，ユーザ毎の設定）や、複合機内の機能を利用して動作するアプリケーションソフトウエアなどが保持される場合もある。

このような画像形成装置において、さらなるセキュリティの強化の為、記憶装置としてのＨＤＤを着脱可能とし、未使用時には、画像形成装置から取り外す提案（例えば、特許文献１参照）や、秘匿性の高いデータは、画像形成装置内のＨＤＤやＲＡＭから完全に消去する提案（例えば、特許文献２参照）がなされている。
特開平０３-１０５３６５号 特開平０９-２２３０６１号

しかしながら、上記従来の画像形成装置においては、各種設定情報や多数のジョブデータのセキュリティを確保するために行なうべき行為は、非常に手間が掛かるものであった。例えば、画像形成装置に関する情報を記憶したＨＤＤを画像形成装置から取り外して金庫に保管する方法などは、かなりの手間がかかる。また、機密を保とうとして、秘匿性高いデータを装置内から完全消去すると、ユーザは残したいデータを残すことができず、利便性が低い。

本発明は、上記従来技術の課題を解決するためになされたもので、その目的とするところは、簡易に記憶装置内のデータの漏洩を防止することのできる技術を提供することにある。

記憶装置が着脱可能に接続され、該記憶装置から読出した情報を用いて画像形成を行なう画像形成装置と、該画像形成装置を管理する情報処理装置とを含む画像形成システムであって、
前記画像形成装置及び前記記憶装置は、それぞれ固有情報を有し、
前記情報処理装置は、前記画像形成装置及び前記記憶装置の固有情報を記憶する記憶手段を有し、
前記画像形成装置から前記記憶装置との通信要求があった場合に、通信要求に含まれる、前記画像形成装置及び前記記憶装置の固有情報が前記記憶手段に記憶されているか否かを判断することによって、前記記憶装置と前記画像形成装置との間の通信を許可するか否かを決定することを特徴とする。

本発明によれば、簡易に記憶装置内のデータの漏洩を防止することのでき、画像形成装置と記憶装置間の通信を効率良くセキュアに行うことが可能となる。

以下に、図面を参照して、この発明の好適な実施の形態を例示的に詳しく説明する。ただし、この実施の形態に記載されている構成要素はあくまで例示であり、この発明の範囲をそれらのみに限定する趣旨のものではない。

以下、図面を参照しながら、本発明の一例を示す実施形態について説明する。

図１は、本実施形態を示す画像形成装置の構成を説明する断面図である。なお、本実施形態では、画像形成装置の一例として複合画像形成装置を用いて説明する。

図１において、１００は画像形成装置、１０２は原稿給紙ユニット（以下、ＤＦユニット）である。３０１は原稿載置台としてのプラテンガラスである。３０２はスキャナで、原稿照明ランプ３０３，走査ミラー３０４等で構成され、不図示のモータによりスキャナ３０２が所定方向に往復走査して原稿の反射光を走査ミラー３０４〜３０６を介してレンズ３０８を透過してＣＣＤセンサ（イメージセンサ部）３０９に結像する。

３２０はレーザ，ポリゴンスキャン等で構成された露光制御部で、イメージセンサ部３０９で電気信号に変換され、画像処理が行われた画像信号に基づいて変調されたレーザ光３２９を感光体ドラム３１０に照射する。感光体ドラム３１０の回りには、１次帯電器３１２，現像器３２１，転写帯電器３１８，剥離帯電器３１９，クリーニング装置３１６，前露光ランプ３１４が装備されている。

画像形成部３２６において、感光体ドラム３１０は不図示のモータにより図に示す矢印の方向に回転しており、１次帯電器３１２により所望の電位に帯電された後、露光制御部３２０からのレーザ光３２９が照射され、静電潜像が形成される。感光体ドラム３１０上に形成された静電潜像は、現像器３２１により現像されて、トナー像として可視化される。

一方、上段記録紙カセット３３１あるいは下段記録紙カセット３３２からピックアップローラ３３３，３３４により給紙された記録紙は、給紙ローラ３３５，３３６により本体に送られ、レジストローラ３３７により転写ベルトに給送され、可視化されたトナー像が転写帯電器３１８，３１９により記録紙に転写される。転写後の感光体ドラム３１０は、クリーニング装置３１６により残留トナーが清掃され、前露光ランプ３１４により残留電荷が消去される。転写後の記録紙は、転写ベルト３３０から分離され、定着前帯電器３３９，３４０によりトナー像が再帯電され、定着器３４１に送られ加圧，加熱により定着され、排出ローラ３４２によりフィニッシャユニット１０７に排出される。

画像形成装置１００には、例えば４０００枚の記録紙を収納し得るデッキ３５０が装備されている。デッキ３５０のリフタ３５１は、給紙ローラ３５２に記録紙が常に当接するように記録紙の量に応じて上昇する。

また、１００枚の記録紙を収容し得る、マルチ手指し３５３が装備されている。さらに、図１において、３５４は排紙フラッパであり、両面記録側ないし多重記録側と排紙側の経路を切り替える。排出ローラ３４２から送り出された記録紙は、この排紙フラッパ３５４により両面記録側ないし多重記録側に切り替えられる。また、３５８は下搬送パスであり、排出ローラ３４２から送り出された記録紙を反転パス３５５を介し、記録紙を裏返して再給紙トレイ３５６に導く。また、３５７は両面記録と多重記録の経路を切り替える多重フラッパであり、これを左方向に倒すことにより、記録紙を反転パス３５５に介さず、直接下搬送パス３５８に導く。

３５９は給紙ローラで、経路３６０を通じて記録紙を感光体ドラム３１０側に給紙する。３６１は排出ローラで、排紙フラッパ３５４の近傍に配置されて、この排紙フラッパ３５４により排出側に切り替えられた記録紙を機外に排出する。両面記録（両面複写）や多重記録（多重複写）時には、排紙フラッパ３５４を上方に上げて、複写済みの記録紙を反転パス３５５，下搬送パス３５８を介して裏返した状態で再給紙トレイ３５６に格納する。

このとき、両面記録時には、多重フラッパ３５７を右方向へ倒し、また多重記録時には、再給紙トレイ３５６に格納されている記録紙が、下から１枚ずつ給紙ローラ３５９により経路３６０を介して画像形成装置１００のレジストローラ３３７に導かれる。画像形成装置１００から記録紙を判定して排出する時には、排紙フラッパ３５４を上方ヘ上げ、多重フラッパ３５７を右方向へ倒し、複写済みの記録紙を反転パス３５５側へ転送し、記録紙の後端が第１の送りローラ３６２を通過した後に、反転ローラ３６３によって第２の送りローラ３６２ａ側へ搬送し、排出ローラ３６１によって、記録紙を裏返してフィニッシャユニット１０７に排出される。

なお、図１では、単色で印刷可能な画像形成装置１００を一例にして説明しているが、複数色で印字可能、例えば黒と赤の２色、イエロー，シアン，マゼンタの３色、イエロー，シアン，マゼンタ，黒の４色で印刷可能な画像形成装置であってもよい。

図２は、本実施形態を示す画像形成装置の制御構成を説明するブロック図である。

図２において、１０１は画像入力装置としてのリーダ部であり、原稿を光学的に読み取り、画像データに変換する。リーダ部１０１は、実際に原稿を光学的に読み取る機能を持つスキャナユニット１０３と、スキャナユニット１０３が原稿を読み取れるように原稿を自動搬送する機能を持つＤＦユニット１０２で構成される。

１０５は画像出力装置としてのプリンタ部であり、複数種類の記録紙カセット（上段，下段記録紙カセット３３１，３３２）を有し、プリント命令に従って画像データを記録紙カセットから搬送される記録紙上に可視像として出力する。プリンタ部１０５は画像データを記録紙に転写、定着させる機能を持つプリンタユニット１０６と画像が定着した記録紙ノート、ステイプル等を行うフィニッシャユニット１０７で構成される。

１０４は制御部であり、リーダ部１０１，プリンタ部１０５と電気的に接続され、画像形成装置１００および画像形成装置１００に接続されている各種装置等を統括制御するものであり、各種の機能を有する。この制御部１０４には各種機能を実行する回路として、ファックス通信部，各コンピュータＩ／Ｆ（インタフェース）通信部，画像処理部，ＰＤＬフォーマッタ部，操作部Ｉ／Ｆを備えている。

１０８は画像形成装置１００の操作部であり、大型液晶タッチパネル１０８ａを備え、画像形成装置１００に対してユーザが容易に実行指示等を与えることができるようなユーザＩ／Ｆ部である。

前述のリーダ部１０１，制御部１０４，プリンタ部１０５および操作部１０８で構成される画像形成装置１００は制御部１０４を介して外部の各種装置と通信が可能である。

また、１１２および１１８は通常ユーザーが使用するパーソナルコンピュータ（ＰＣ）で、ドキュメントを作成したりするものであり、ＰＣ１１２はネットワーク（ＬＡＮ（ローカルエリアネットワーク），ＷＡＮ（ワイドエリアネットワーク）等）１２０を介して制御部１０４と接続し、ＰＣ１１８は、コンピュータＩ／Ｆ１２１を介して制御部１０４と接続している。

また、ＰＣ１１２に関してはネットワーク１２０に接続された他のコンピュータとの電子メールのやり取りを行ったり、ネットワーク１２０上のＨＴＴＰサーバなどのサーバのサービスによりＨＴＭＬファイルを閲覧したりすることが可能である。

１１４はワークステーション（ＷＳ）としての機能を有するコンピュータであり、１１３および１１７はファクシミリ装置（ファックス）である。ファックス１１３はネットワーク１２０を介して画像形成装置１００と通信可能であり、ファックス１１７は公衆回線１２２（ファックスの国際通信規格であるＧ３もしくはＧ４）を介して画像形成装置１００と通信可能である。１１１はプリンタ、１１５はスキャナである。

２２９は、ＨＤＤであり、画像形成装置１００が扱うさまざまな情報やジョブを記録、再生することが可能となる。

１３０はサーバであり、制御部１０４とＨＤＤ２２９とネットワーク１２０を介して接続されている。

また、ネットワーク１２０は、一般的にはＥｔｈｅｒ Ｎｅｔ等が挙げられる。さらに、コンピュータＩ／Ｆ１２１は、一般的にはＲＳ２３２Ｃ，セントロニクスＩ／Ｆ，ＩＥＥＥ１２８４，ＳＣＳＩなどが挙げられる。

このように上述した画像形成装置１００は、複数の機能を有する付属装置を接続することが可能な制御部１０４を備えた画像形成装置の一例であり、ネットワーク１２０等の接続媒介を通してＰＣ１１２，１１８と接続することが可能でＰＣ１１２，１１８上のデータをプリント出力、ファクシミリ送信等を行うことができる。

特に、画像形成装置１００とＨＤＤ２２９は、機器識別子として、例えば製造ＩＤ等をそれぞれのＲＯＭに格納し、別途、画像形成装置１００とサーバ１３０間、もしくはＨＤＤ２２９とサーバ１３０間でのみで共有される秘密対称鍵をそれぞれ個別に格納し出荷される。

サーバ１３０は、工場出荷した画像形成装置１００、ＨＤＤ２２９のそれぞれの機器識別子と秘密対称鍵をひも付け、出荷した機器毎に保持する。秘密対称鍵は、画像形成装置１００、ＨＤＤ２２９、サーバ１３０の何れも分割、暗号化、耐タンパ性確保等により、通常では読み出し不可能な方式で格納される。

これにより、後述する制御により、サーバ１３０は、画像形成装置１００の制御部１０４とＨＤＤ２２９の通信のSecurity Association（ＳＡ）確立を代理処理することが可能である。Security Association確立とは、IPsecやIPv6を利用した暗号化通信において、通信をはじめる前に暗号化方式や暗号鍵などの情報を交換・共有し、安全な通信路を確立することである。つまりＳＡは、確立された仮想的な暗号通信路(トンネル)のことを指す。IPsecにおけるＳＡ確立では、IKE(Internet Key Exchange)という標準手順によって、暗号化方式の決定や鍵の交換、相互の認証が行なわれる。SAは定期的に更新され、身元の確認と暗号鍵の再発行・再交換が行なわれる。画像形成装置１００、ＨＤＤ２２９、サーバ１３０は何れもグローバルユニークなＩＰアドレスを保持するが、ＩＰｖ４アドレス、ＩＰｖ６アドレスの何れでも構わない。同様に、ネットワーク１２０は、ＩＰｖ４プロトコルネットワーク、ＩＰｖ６プロトコルネットワークの何れでも構わない。

以下、図３を参照しながら、図２に示した制御部１０４の信号処理構成および動作について説明する。

図３は、図２に示した制御部１０４の構成を説明するブロック図である。

図３において、２０１はコントローラチップで、主にＣＰＵ２０２，ＲＩＰ２０３等によって構成されるワンチップマイコンである。ＣＰＵ２０２は、制御部１０４に備わる各機能ブロックに以下に述べるような処理を実行させる。また、ＲＩＰ２０３は、図２に示したＰＣ１１２，１１８等から制御部１０４に入力されるＰＳ，ＰＣＬ等のＰＤＬ（ページ記述言語）フォーマットを、ＣＰＵ２０２の指示に従って展開し、制御部１０４に接続されるプリンタ部１０５が出力可能な画像フォーマット（ビットマップデータ）に変換する機能を有する。また、コットローラチップ２０１は後述するＰＣＩバスを制御するための図示しないＰＣＩコントローラを内蔵する。

２１５，２１８はコネクタで、双方向の非同期シリアルＩ／ＦとＶｉｄｅｏＩ／Ｆとで構成され、コネクタ２１５は図２に示したスキャナユニット１０３と接続され、コネクタ２１８は図２に示したプリンタユニット１０６と接続される。

ＣＰＵ２０２は、コネクタ２１５を介してスキャナユニット１０３に対して制御コマンドの送信を行ったり、画像の転送要求を行い、スキャナユニット１０３からの画像情報の受信を行う。また、ＣＰＵ２０２はコネクタ２１８を介してプリンタユニット１０６に対して制御コマンドの送信を行ったり、画像の転送要求を行い、プリンタユニット１０６へ画像情報の送信を行う。

２１６はスキャナ画像処理回路で、スキャナユニット１０３から転送される画像に対して画像処理を施すものであり、ＣＰＵ２０２によってＩ／Ｏ２２７を介して制御される。スキャナ画像処理回路２１６の主な機能としては、ＲＧＢ位相補正機能，下地除去機能，文字判定機能，画像加工機能，有彩色判定／カウント機能，主走査変倍機能，２値化機能，輪郭，エッジ強調機能等が挙げられる。

なお、上述のＲＧＢ位相補正機能は、スキャナユニット１０３の各色成分間の読み取り位相（副走査位置）ズレを補正するものであり、下地除去機能は、スキャナユニット１０３からの入力画像中の下地色を除去するものであり、文字判定機能は、文字／細線部のエッジ領域を判定するものである。

また、上述の画像加工機能としては、前述の文字判定機能により文字と判定された画像中の該当箇所を斜体に変換する斜体機能、画像を反転し、鏡像にする鏡像機能、複数の同一画像を出力することが可能なリピート機能等が挙げられる。

さらに、上述の有彩色判定／カウント機能は、色文字と黒文字の分離を行い、文字信号を制御し、スキャナユニット１０３が読み取った原稿画像がモノクロ画像であるかカラー画像であるかを判定するものであり、主走査変倍機能は、スキャナユニット１０３からの入力画像の主走査方向を変倍するものであり、２値化機能は、多値信号を固定スライスレベルで２値化する単純２値化機能、スライスレベルが注目画素の周りの画素の値から変動する変動スライスレベルによる２値化機能、および誤差拡散法による２値化機能を含むものとする。

２１７はプリンタ画像処理回路で、プリンタユニット１０６へ転送する画像に対して画像処理を施す画像処理回路であるが、詳細な説明は省略する。

スキャナユニット１０３から転送された画像は、ＣＰＵ２０２の指示によりコントローラチップ２０１を介して、プリンタ画像処理回路２１７に転送し、プリンタ画像処理回路２１７で画像処理を施した画像をコネクタ２１８に転送することができる。プリンタ画像処理回路２１７では、プリンタユニット１０６で出力可能な最適な画像に加工し、プリンタユニット１０６に画像の出力を要求し、画像情報を転送することで整然とした画像をプリント出力することが可能である。

２０４はＲＯＭで、制御部１０４の制御プログラム等を記憶する記憶媒体であり、画像形成装置全体を制御するためのプログラムを主に格納する。

２０５はＳＤＲＡＭで、ＣＰＵ２０２にメインメモリとして使用される揮発性記憶装置であり、制御部１０４が動作上必要とする各種設定値等を保存することも可能であり、画像データをそのまま保存することも可能である。またＳＤＲＡＭ２０５に保存される内容はバックアップ回路２０８および二次電池２０９によりバックアップが可能であり、制御部１０４の電源がＯＦＦとなった際であっても、記憶した内容が失われることはない。さらに、ＳＤＲＡＭ２０５には制御部１０４に接続されている機器の構成情報（例えば、フィニッシャユニット１０７を備えているかどうかを示す情報、記録紙カセットが何段あるかを示す情報、原稿給紙ユニット１０２の種類を示す情報等の画像形成装置１００を構成する機器の情報）等が保管され、その構成に変更がある場合にはその内容を更新することが可能である。

２０６は圧縮／伸長部で、ＲＡＭ２０７を使用し、画像データの圧縮／伸長を行う機能を有する。圧縮の形式としては、ＪＰＥＣ，ＪＢＩＣ，ＭＲ，ＭＭＲなどの形式があげられる。また、コントローラチップ２０１と直接接続され、ＳＤＲＡＭ２０５との間で画像データのやりとりを行うことが可能である。さらに、圧縮／伸長部２０６は２値画像の圧縮伸長機能を有するほかに画像の回転機能を有し、この回転機能は２値化された画像を時計回りに９０度，１８０度，２７０度回転させるものである。

２１２はＭＡＣＲＯＭで、ネットワーク物理アドレスを記憶するＲＯＭであり、コネクタ２１０を介してコントローラチップ２０１およびＳＤＲＡＭ２０５と接続される。

２１１は１０／１００ＢＡＳＥ−Ｔコネクタ（ネットワークコネクタ）で、制御部１０４をネットワーク（ネットワーク１２０）に接続するためのコネクタで、ネットワークとのデータの送受信を行うためのコネクタである。なお、１０／１００ＢＡＳＥ−Ｔコネクタ２１１は、コネクタ２１０を介してコントローラチップ２０１と接続される。

２１３は操作部Ｉ／Ｆで、図２に示した操作部１０８を接続するためのＩ／Ｆである。なお、操作部１０８は液晶表示部と液晶表示部上に貼り付けられたタッチパネル入力装置とを備える大型液晶タッチパネル１０８ａ、図示しない複数個のハードキーを有する。大型液晶タッチパネル１０８ａまたはハードキーにより入力された信号は前述した操作部Ｉ／Ｆ２１３を介してＣＰＵ２０２に伝えられ、液晶表示部は操作部Ｉ／Ｆ２１３から送られてきた画像データを表示する機能を有し、他にも画像形成装置１００の操作における機能表示なども可能である。

２１４はＩＥＥＥ１２８４コネクタで、ＩＥＥＥ１２８４に準拠するコネクタであり、外部のＰＣ１１８と接続可能なＩ／Ｆである。外部のＰＣ１１８はＩＥＥＥ１２８４コネクタを介して、制御部１０４にスキャン／プリント要求を行ったり、画像形成装置１００のステータス情報を取得したりすることが可能である。

２１９はＬＣＤコントローラで、図示しないカラーＬＣＤを接続する場合に使用されるＬＣＤコントローラである。Ｉ／Ｏ２２７を通じてＣＰＵ２０２によって制御され、ＬＣＤコントローラ２１９にＬＣＤＩ／Ｆ２２０を介して接続されるカラーＬＣＤに画像を表示させることが可能である。

２２１はリアルタイムクロックモジュールで、時刻をカウントするものであり、指定時刻にＣＰＵ２０２に割り込みを発生するアラーム機能を有する。

２２２はＦＡＸ通信部で、公衆回線に接続可能なユニットであり、ＩＥＥＥ１２８４コネクタ２１４等を介してＰＣ１１８，１１２等から送られてきたデジタルデータを公衆回線に送出できるように変調する機能と公衆回線より送られてきた変調されたデータを画像形成装置１００内で処理できるデジタルデータに変換する機能を持つ。その他にも公衆回線上の他のＦＡＸ等と画像の送受を行うための各種画像処理機能を実行する伸長部２２３，圧縮部２２４，回転部２２５，変倍部２２６等を装備する。

２３２はＰＣＩバスで、ＰＣＩバスのアービトレーション機能を実行するＰＣＩアービタ２３０によりアービトレーションが行われることで制御される。ＣＰＵ２０２はコントローラチップ２０１内蔵の図示しないＰＣＩコントローラを介して、ＰＣＩバス２３２上にデータを転送することが可能であり、これによりＩ／Ｏ２２７にアクセスしたり、ＰＣＩコネクタ２３１の先に接続される他の周辺機器と通信を行うことが可能である。

ＨＤＤ２２９は大容量の不揮発性記憶装置で、ＣＰＵ２０２が動作する上での複数のアプリケーション，画像データ等を蓄積しておくものである。なお、画像形成装置１００で実行されるほとんどのジョブのジョブデータ（画像データ）およびジョブの実行に必要となる各種データ等を含むジョブ情報はこのＨＤＤ２２９（記憶装置）に対して、一時的に記録されプリンタ部１０５や、ネットワークコネクタ２１１等を介して外部装置（ＰＣ１１２，１１８，ＷＳ１１４，プリンタ１１１，ファックス１１３等）へのデータの転送が行われる。

なお、画像形成装置１００では、リーダ部１０１で読み取った画像をプリンタ部１０５で出力するコピージョブ、ＰＣ１１２，ＷＳ１１４等からネットワーク１２０を介して受信した印刷データまたはＰＣ１１８から受信した印刷データをプリンタ部１０５で出力するプリントジョブ、リーダ部１０１で読み取った画像をＦＡＸ通信部２２２を介してファクス１１７に送信する第１ファクシミリ送信ジョブ、ＰＣ１１２，ＷＳ１１４等からネットワーク１２０を介して受信したデータまたはＰＣ１１８から受信したデータをファクス通信部２２２を介してファクス１１７に送信する第２ファクシミリ送信ジョブ、リーダ部１０１で読み取った画像をＰＣ１１２，１１８，ＷＳ１１４等に送出するスキャナジョブ、ＦＡＸ通信部２２２で受信したファクシミリデータをプリンタ部１０５で出力する第１ファクシミリ受信ジョブ、ＦＡＸ通信部２２２で受信したファクシミリデータをＰＣ１１２，１１８，ＷＳ１１４，プリンタ１１１等に送出する第２ファクシミリ受信ジョブ等の複数のジョブが実行可能である。

また、ＨＤＤ２２９内部は、以下で説明する図４に示すような複数のエリアに分割されて使用されている。

図４は、図３に示したＨＤＤ２２９の記録エリアの一例を説明する模式図である。

図４の（ａ）において、４０１は装置機能ソフトウエア格納エリアで、制御部１０４の機能を動作させるためのソフトウエアモジュールを格納する。４０２は装置内アプリケーションソフトウエア格納エリアで、画像形成装置１００内の機能を利用した複数のアプリケーションを格納する。

４０３はユーザデータ格納エリアで、ユーザが利用できるエリアであり、詳細は図４の（ｂ）で説明する。４０４は一時的データ格納エリアで、実行要求されたジョブのジョブ情報を一時的に格納する。４０５はＬｏｇＡｃｃｏｕｎｔ情報格納エリアである。

図４の（ｂ）において、ユーザデータ格納エリア４０３は、複数に分割されており、該分割される各エリア（Ｕｓｅｒ ｎ（ｎ：１〜ｘ））はそれぞれ鍵付きのＢＯＸのようにユーザ個人データ（ユーザデータ）を格納するエリア、グループデータを格納するエリアとして利用可能である。

また、図４の（ｃ）に示すようにユーザデータ格納エリア４０３のＵｓｅｒ１〜Ｕｓｅｒｘという区切られたエリアには、ユーザ名，シリアル番号，ユーザエリアパスワード，ユーザ登録文書数などの情報がユーザ情報として格納されている。さらに、Ｕｓｅｒ１〜Ｕｓｅｒｘには、ジョブデータを格納する複数のエリアがあり、文書１，２，３...というように保管することが可能である。

それぞれのジョブに対しても文書名，ジョブの種別，パスワード等の情報を付加することができ、情報が付加されたジョブデータはジョブ情報として格納される。

次に、画像形成装置１００をイニシエータ（開始者）、ＨＤＤ２２９を（応答者）とし、双方でセキュアな通信路を確立するまでの処理を説明する。

図５は、画像形成装置１００の制御部１０４が、サーバ１３０と連携し、ＨＤＤ２２９とセキュアな通信路確立要求を行う処理の一例を示すフローチャートである。

まず、前提として、画像形成装置１００は、あらかじめ、格納された機器識別子と、サーバ１３０間の通信のみで利用する秘密対称鍵Ｋａを持つ。格納は、画像形成装置１００の製造時に行われる。また、サーバ１３０においても、画像形成装置１００の機器識別子と秘密対称鍵Ｋａを登録される。秘密対称鍵Ｋａは、秘匿され保持される。秘匿の方法は、分割、暗号化、耐タンパ性等を確保した実体（Ｅｎｔｉｔｙ）等様々あるがいずれの方法でも良い。

また、画像形成装置１００は、使用者により設定される複数のセキュリティポリシーを保持する、Security Policy Database（ＳＰＤ）を備えている。セキュリティポリシーは、利用ポート、セキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードなどを含む。図８（ａ）に、セキュリティポリシーの例を示す。ＳＰＤに保持されたセキュリティポリシーに基づき、ネットワーク１２０を出入りするパケットをどのように扱うか（暗号化するかどうか等）を決定し、処理する。

画像形成装置１００は、更に、ネゴシエーションされたＳＡを保持するSecurity Association Database（ＳＡＤ）を持つ。ＳＡＤは、所定の機器とのセキュアな通信に際し、どのＳＡを使うかを決定する際に利用される。

ステップ５０１では、まず、サーバ１３０にＨＤＤ２２９への通信開始と提案を問い合わせる。具体的には、セキュア通信路確立開始要求問い合わせを機器識別子と共にサーバ１３０に送信する。また、提案として、ＳＰＤから、ＨＤＤ２２９のＩＰアドレスをキーとして該当するセキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードを含む情報を読出して送信する。この送信データは、秘密対称鍵Ｋａで暗号化する。

次に、サーバ１３０からの受信を受ける。受信データは暗号化されているため、秘密対称鍵Ｋａで復号化し問い合わせ結果を得る。以降の処理も同様に、画像形成装置１００の制御部１０４とサーバ１３０間の通信は、秘密対称鍵Ｋａを用い、送信時には暗号化、受信時には復号化を行う。

続く、ステップ５０２で、サーバ１３０からの問い合わせ結果が「受諾不可」か、「受諾」か「未登録」かの判断を行う。

受信結果が受諾の場合、ステップ５０３に進み、受諾メッセージと共に、ＨＤＤ２２９のＩＰアドレス、ＳＰＤ照合結果、秘密対称鍵Ｋｃ、ＨＤＤ認証値Ａｊを受け取り、ステップ５０６に進む。

受信結果が受諾不可の場合、ステップ５０５に進み、ステップ５０１に戻って、再度、新たな提案を送信する。受信結果が未登録の場合、ステップ５０４に進み、更にステップ５１０でエラーを返し、終了する。

ステップ５０６では、了承した旨を送信し、ＳＡをＳＡＤに登録する。すなわち、サーバ１３０から受け取ったＨＤＤ２２９のＩＰアドレスと、ＳＰＤ照合結果と、秘密鍵Ｋｃと、ＨＤＤ２２９認証値Ａｊとから新たに、ＨＤＤ２９９向けのＳＡを生成してＳＡＤに登録し、保持する。ＳＰＤ照合結果とは、セキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードを含む情報である。図９（ａ）にＳＡＤの例を示す。

更にステップ５０６では、ＨＤＤ２２９のＩＰアドレスを宛先アドレスとして、直接ＨＤＤ２２９に対し、受け取ったＳＰＤ照合値を画像形成装置１００の制御部１０４からＨＤＤ２２９向けのＳＡ提案を送信する。ＳＡ提案には、画像形成装置１００を特定する画像形成装置認証値Ａｉを含む。Ａｉは、秘密鍵Ｋａからハッシュ関数により得られたダイジェスト値である。ここで利用するハッシュ関数は、ＳＡ提案で規定された方式を用いる。ＨＤＤ２２９への送信は、ＨＤＤ２２９向けのＳＡに基づき秘密鍵Ｋｃで暗号化される。以降、同様に画像形成装置１００の制御部１０４とＨＤＤ２２９の通信は、秘密対称鍵Ｋｃを用い、送信時には暗号化、受信時には復号化して行うことになる。

ステップ５０７では、ＨＤＤ２２９から画像形成装置１００向けのＳＡ提案を受信する。続いて、ステップ５０８で、ＳＡ提案が確かにＨＤＤ２２９から送信されたものか判断する。

具体的にはステップ５０８において、ＨＤＤ２２９からのＳＡ提案に含まれているＨＤＤ認証値Ａｊをステップ５０６でサーバ１３０から受け取った値と照合し、一致を確認する。一致を確認した場合は、ステップ５０９に進み、ＳＡ提案が確かにＨＤＤ２２９から送信されたものと判断し、以降のＨＤＤ２２９とのセキュアな通信を登録されたＳＡに基づき開始する。一致しない場合は、ステップ５１１に進み、ステップ５０５で登録されたＳＡを破棄する。

図６は、画像形成装置１００からの通信路確立要求を受け、サーバ１３０が代理ＳＡ確立を行う処理の一例を示すフローチャートである。

まず、前提として、サーバ１３０には、あらかじめ、機器属性情報として、画像形成装置１００及びＨＤＤ２２９の機器識別子と、対になる秘密鍵Ｋａ、Ｋｂが、登録されている。これらの情報は、画像形成装置１００の製造時にサーバ１３０に登録される。また、画像形成装置１００およびＨＤＤ２２９のセキュリティポリシーが、サーバ１３０内に確立された機器別のＳＰＤに、それぞれの登録者によって登録されている。図８（ｂ）に、セキュリティポリシーの例を示す。サーバ１３０のＳＰＤにも、機器毎に複数のセキュリティポリシーが登録可能である。画像形成装置１００及びＨＤＤ２２９のＩＰアドレスは、レスポンダのＩＰアドレスとして登録される。

まず、ステップ６０１では、通信確立要求と提案を受信し、画像形成装置１００及びＨＤＤ２２９の管理データを検索する。つまり、画像形成装置１００から、ＨＤＤ２２９へのセキュア通信路確立開始要求問い合わせ、画像形成装置１００の機器識別子、及び、通信提案を受信する。この受信データは、送信元アドレスから判断し、画像形成装置１００の秘密対称鍵Ｋａで暗号化されているため、秘密対称鍵Ｋａで復号化する。また、通信宛先アドレスが画像形成装置１００の場合は、通信データを秘密対称鍵Ｋａで暗号化した後に送信する。以降の処理も同様に、画像形成装置１００とサーバ１３０間の通信は、秘密対称鍵Ｋａを用い、送信時には暗号化、受信時には復号化を行う。

ステップ６０１では、通信路確立開始要求に含まれるＨＤＤ２２９のＩＰアドレスをキーとして、ＨＤＤ２２９が機器別ＳＰＤに登録してあるかを検索する。検索結果をステップ６０２で判別し、登録があれば、ステップ６０３に進む。登録が無い場合はステップ６１０で画像形成装置１００に未登録メッセージを返し、処理を終了する。

ステップ６０３では、通信提案に含まれるセキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードなどの情報と、ＳＰＤに登録されているＨＤＤ２２９のセキュリティポリシーとを比較し、ステップ６０４でその結果を判別する。

ステップ６０４で適合するポリシーがなければ、ステップ６０９で画像形成装置１００に対し、受諾不可を送信し、処理を終了する。

ステップ６０４で、適合するポリシーがあれば、ステップ６０５で受諾メッセージを画像形成装置１００およびＨＤＤ２２９に送信する。ＨＤＤ２２９への通信は、宛先アドレスから判断し、通信データを秘密鍵Ｋｂで暗号化して送信する。また、ＨＤＤ２２９からの受信は、送信元アドレスから判断し秘密対称鍵Ｋｂで復号化する。以降の処理も同様にＨＤＤ２２９とサーバ１３０間の通信は、秘密対称鍵Ｋｂを用い、送信時には暗号化、受信時には復号化を行なう。

画像形成装置１００に対しては、受諾メッセージと共に、ＨＤＤ２２９のＩＰアドレス、ＳＰＤマッチング結果としてセキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードを含む情報、画像形成装置１００およびＨＤＤ２２９で利用される秘密対称鍵Ｋｃ、ＨＤＤ２２９の認証値Ａｊを送信する。ＨＤＤ２２９の認証値Ａｊは、秘密対称鍵Ｋｂからハッシュ関数により得られたダイジェスト値である。ここで利用するハッシュ関数は、送信する認証アルゴリズムで規定された方式を用いる。

ＨＤＤ２２９に対しては、受諾メッセージと共に、画像形成装置１００のＩＰアドレス、ＳＰＤマッチング結果としてセキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードを含む情報を送信する。

次に、ステップ６０６で、画像形成装置１００およびＨＤＤ２２９からの了承メッセージが返ってきたかを判別する。両者から了承メッセージが返った場合は、ステップ６０７で、ＨＤＤ２２９に秘密鍵Ｋｃ、画像形成装置１００の認証値Ａｉを送信する。秘密鍵Ｋｃ、認証値Ａｉは、ステップ６０５と同様に生成する。画像形成装置１００およびＨＤＤ２２９の何れか、または、両方から了承メッセージが返らなかった場合には、ステップ６０８で、画像形成装置１００およびＨＤＤ２２９に対し、該当のＳＡＤのＳＡエントリを破棄依頼するメッセージを送信し処理を終了する。

図７は、ＨＤＤ２２９が、サーバ１３０と連携し、画像形成装置１００からのＳＡ提案を受け付ける処理の一例を示すフローチャートである。本フローチャートの各処理は、全てＨＤＤ２２９が行なう処理である。

まず、前提として、ＨＤＤ２２９には、機器識別子と、サーバ１３０間の通信のみで利用する秘密対称鍵Ｋｂが予め格納されている。格納は、画像形成装置１００の製造時に行われる。ＨＤＤ２２９の機器識別子を画像形成装置１００の製造時に登録しても構わない。また、サーバ１３０においても、ＨＤＤ２２９の機器識別子と秘密対称鍵Ｋｂを登録される。秘密対称鍵Ｋｂは、秘匿され保持される。秘匿の方法は、分割、暗号化、耐タンパ性等を確保した実体（Ｅｎｔｉｔｙ）等様々あるがいずれの方法でも良い。

また、ＨＤＤ２２９は、利用ポート、セキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードなど、使用者により設定されるSecurity Policy Database（ＳＰＤ）を持つ。図８（ｃ）に、ＳＰＤの例を示す。ＳＰＤには、複数のセキュリティポリシーを保持できる。ＳＰＤに保持されたセキュリティポリシーに基づき、ネットワーク１２０を出入りするパケットをどのように扱うか（暗号化するかどうか等）を決定し、処理する。また、このＳＰＤ内のセキュリティポリシーは、前述の通り、サーバ１３０においても利用者により登録されている。

また、ＨＤＤ２２９は、ＳＡを保持するＳＡＤを持つ。ＳＡＤは、所定の機器とのセキュアな通信に際し、どのＳＡを使うかを決定する際に利用される。図９（ｂ）にＳＡＤの例を示す。

ステップ７０１では、サーバ１３０から受諾メッセージと共に画像形成装置１００のＩＰアドレス、セキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードを含む情報を受信する。サーバ１３０からの受信は、送信元アドレスから判断し、通信データを秘密対称鍵Ｋｂで復号化して受信する。また、サーバ１３０への送信は、送信元アドレスから判断し、秘密対称鍵Ｋｂで暗号化する。以降、同様にＨＤＤ２２９とサーバ１３０間の通信は、秘密対称鍵Ｋｂを用い、送信時には暗号化、受信時には復号化して行うこととする。

ステップ７０２では、受け取ったセキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードを含む情報が確かにＨＤＤ２２９のＳＰＤで保持されているセキュリティポリシーに適合するか確認する。

適合する場合は、ステップ７０３で了承メッセージをサーバ１３０に送信し、受け取った画像形成装置１００のＩＰアドレス、セキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム、カプセル化モードを含む情報をＳＡＤに、画像形成装置１００向けの新たなＳＡとして生成して保持する。

ステップ７０４では、画像形成装置１００からのアクセスに対する秘密対称鍵Ｋｃと、画像形成装置１００の認証値Ａｉとを、サーバ１０３から受信し、ステップ７０３で生成したＳＡエントリに加える。

ステップ７０５では、画像形成装置１００からＨＤＤ２２９向けのＳＡ提案を受信する。画像形成装置１００からの受信は、登録されたＳＡに基づき、秘密対称鍵Ｋｃで暗号化されているため、サーバ１３０から受け取った秘密対称鍵Ｋｃで復号化する。以降、同様に画像形成装置１００とＨＤＤ２２９の通信は、秘密対称鍵Ｋｃを用い、送信時には暗号化、受信時には複合化して行うこととなる。

続いて、ステップ７０６では、画像形成装置１００からのＳＡ提案に含まれている画像形成装置認証値Ａｉが、ステップ７０４でサーバ１３０から受け取った値と照合し、一致するか否かを確認する。

一致した場合には、このＳＡ提案は、確かに画像形成装置１００から送信されたものと判断し、ステップ７０７でＨＤＤ２２９から画像形成装置１００向けのＳＡ提案を送信する。ＳＡ提案にはＨＤＤ２２９を特定するＨＤＤ認証値Ａｊを含む。Ａｊは、秘密対称鍵Ｋｂからハッシュ関数により得られたダイジェスト値である。ここで利用するハッシュ関数は、ＳＡ提案で規定された方式を用いる。一致しない場合には、ステップ７０９で、登録されたＳＡを破棄する。ステップ７０８で、以降の画像形成装置１００とＨＤＤ２２９とのセキュアな通信を登録されたＳＡに基づき、開始する。

このように本実施形態で示した画像形成装置１００は、原稿の画像をデジタル画像データとして入力するリーダ部１０１と、ＰＣ等の外部からの処理要求や情報を送受信可能であり、画像データ等を外部からの要求にしたがって外部のＰＣ，プリンタ１１１等またはプリンタ部１０５に転送可能な制御部１０４とを具備し、複数の揮発性メモリであるＲＡＭ２０７，ＳＤＲＡＭ２０５と不揮発性メモリであるＲＯＭ２０４と大容量の固定記憶部であるＨＤＤ２２９を備え、制御部１０４とＨＤＤ２２９の通信ネゴシエーションを認証サーバにより認証することによって、初めて通信可能とする。

本実施形態では、画像形成装置１００からのデータをＨＤＤ２２９内に受信する際に、暗号化データを秘密鍵Ｋｃによって復号化し記憶し、再び、複合化したデータをＨＤＤ２２９から画像形成装置１００へデータを送信する際に秘密鍵Ｋｃによって暗号化してデータを送信する構成を取ったが、ＨＤＤ２２９への記憶は、画像形成装置１００から受信した暗号化データそのままを記憶し、ＨＤＤ２２９から画像形成装置１００へ送信する際に、そのままのデータを送信する構成を取っても良い。

さらに、上記実施形態では、画像形成装置としてまとめて説明しているが、具体的には、例えば電子写真装置，デジタル複写機，モノクロ複写機，カラーレーザ複写機，レーザビームプリンタ，カラーレーザプリンタ，インクジェットプリンタ，熱転写プリンタ，ファクシミリ装置，コピー機能および／またはプリント機能および／またはファクシミリ機能等を備える複合複写機等、および種々の画像形成装置を制御する制御装置，情報処理装置，データ処理装置等もこの範疇に含まれる。

さらに、上記実施形態では、ＨＤＤ２２９は、画像形成装置１００内に内蔵されている構成として説明しているが、ＨＤＤ２２９は、特に画像形成装置１００内に設ける必要は無く、ネットワーク１２０で通信される環境下において、接続されるならば設置場所は問わない。

以上のように、上記実施形態では、ネットワークを介して画像形成装置及び記憶装置を接続詞、あらかじめ固有情報を組み込んだ画像形成装置及び記憶装置と、画像形成装置と記憶装置の両固有情報とセキュリティポリシーデータベースを管理するサーバとを含む画像形成システムについて説明した。この画像形成システムにおいて、画像形成装置の要求により、画像形成装置と記憶装置間のセキュリティ情報ネゴシエーション、利用する鍵の生成配布、認証キーの生成配布をサーバで行うことによって、画像形成装置と記憶装置間のSecurity Association確立をサーバが代理処理する。

これにより、画像形成装置と記憶装置間の通信を効率良くセキュアに行うことが可能となる。

また、固有情報は、分割、暗号化、耐タンパ性確保等により、画像形成装置と記憶装置に、通常では読み出し不可能な方式で格納することにより、固有情報が外部から読み取られることはない。

従来から、パスワードを含む個人認証手段により、画像形成装置内のデータは保護されている。従って、画像形成装置内の情報を盗もうとする場合、データ解析のため、画像形成装置ごと、もしくは、情報が記憶されたＨＤＤ等の記憶装置を盗むことが想定される。しかし、例えば、画像形成装置ごと、盗み出し、グローバルアドレスが異なる環境で、画像形成装置を動作させようとしても、セキュリティポリシーデータベースによる代理認証が確立しない。このため、記憶装置とのデータ通信は行えず、データを使用されることは無い。また、ＨＤＤ等の記録装置に、暗号化したままの状態で記憶しておけば、画像形成装置、ＨＤＤが盗まれても情報が漏洩することが無い。

（他の実施形態）
以上、本発明の実施形態について詳述したが、本発明は、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。

なお、本発明は、前述した実施形態の機能を実現するプログラムを、システム或いは装置に直接或いは遠隔から供給し、そのシステム或いは装置が、供給されたプログラムコードを読み出して実行することによっても達成される。従って、本発明の機能処理をコンピュータで実現するために、コンピュータにインストールされるプログラムコード自体も本発明の技術的範囲に含まれる。

その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等、プログラムの形態を問わない。

プログラムを供給するための記録媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−Ｒ）などがある。

その他、プログラムの供給方法としては、クライアントコンピュータのブラウザを用いてインターネットのホームページに接続し、ホームページから本発明のコンピュータプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードすることによっても供給できる。また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明のクレームに含まれるものである。

また、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布し、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせ、その鍵情報を使用することにより暗号化されたプログラムを実行してコンピュータにインストールさせて実現することも可能である。

また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現される他、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現され得る。

さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現される。

本発明の実施形態を示す画像形成装置の構成を説明する概略図である。 本発明の実施形態を示す画像形成装置の制御構成を説明するブロック図である。 図２に示した制御部の構成を説明するブロック図である。 図３に示したの記録エリアの一例を説明する模式図である。 本発明の実施形態で示すセキュア通信要求処理の一例を示すフローチャートである。 本発明の実施形態で示す代理ＳＡ処理の一例を示すフローチャートである。 本発明の実施形態で示すセキュア通信応答処理の一例を示すフローチャートである。 本発明の実施の形態で示すセキュリティポリシーデータベース（Security Policy Database:SPD）の一例を示す図である。 本発明の実施の形態で示すセキュリティアソシエーションデータベース（Security Association Database:SAD）の一例を示す図である。

符号の説明

１００ 画像形成装置
１０１ リーダ部
１０３ スキャナユニット
１０４ 制御部
１０５ プリンタ部
１０８ 操作部
１０６ プリンタユニット
１３０ サーバ
２２９ ＨＤＤ

Claims (5)

1. 記憶装置が着脱可能に接続され、該記憶装置から読出した情報を用いて画像形成を行なう画像形成装置と、該画像形成装置を管理する情報処理装置とを含む画像形成システムであって、
   前記画像形成装置及び前記記憶装置は、それぞれ固有情報を有し、
   前記情報処理装置は、前記画像形成装置及び前記記憶装置の固有情報を記憶する記憶手段を有し、
   前記画像形成装置から前記記憶装置との通信要求があった場合に、通信要求に含まれる、前記画像形成装置及び前記記憶装置の固有情報が前記記憶手段に記憶されているか否かを判断することによって、前記記憶装置と前記画像形成装置との間の通信を許可するか否かを決定することを特徴とする画像形成システム。
2. 前記情報処理装置が備える記憶手段は、更に、セキュリティポリシーデータベースを記憶し、
   前記情報処理装置は、前記画像形成装置から前記記憶装置との通信要求があった場合に、更に、前記画像形成装置と前記記憶装置とのセキュリティポリシーの整合性を確認することを特徴とする請求項１に記載の画像形成システム。
3. 前記情報処理装置は、前記画像形成装置と前記記憶装置間の通信を許容した場合、前記画像形成装置と前記記憶装置とに、共通の秘密対称鍵を配布して、前記画像形成装置と前記記憶装置との間の通信を該秘密対称鍵を用いて行なわせることを特徴とする請求項１に記載の画像形成システム。
4. 前記固有情報は、分割、暗号化、又は、耐タンパ性確保のいずれかの方法により、前記画像形成装置と前記記憶装置に格納することを特徴とする請求項１に記載の画像形成システム。
5. 前記画像形成装置は、前記記憶装置に対して、暗号化されたままの情報を送信して記憶させ、前記記憶装置は前記画像形成装置に対して、暗号化されたままの情報を読出して送信することを特徴とする請求項１に記載の画像形成システム。

Images